SugarCRM · Multiple Products

CVE-2023-22952

Multiple SugarCRM Products Remote Code Execution Vulnerability

مورد سوءاستفاده در حملات بالا ۸٫۸ احتمال حمله: ۸۰%

اشتراک‌گذاری

چیست

In SugarCRM before 12.0. Hotfix 91155, a crafted request can inject custom PHP code through the EmailTemplates because of missing input validation.

CISA: Multiple SugarCRM products contain a remote code execution vulnerability in the EmailTemplates. Using a specially crafted request, custom PHP code can be injected through the EmailTemplates.

چه باید کرد

Apply updates per vendor instructions.

مهلت برای نهادهای فدرال آمریکا: ۲۳ فوریهٔ ۲۰۲۳

افزوده‌شده به فهرست CISA: ۲ فوریهٔ ۲۰۲۳
منتشرشده: ۱۱ ژانویهٔ ۲۰۲۳
شدت: بالا ۸٫۸ CVSS 3.1
احتمال حمله در ۳۰ روز آینده (EPSS): ۸۰% در ۰٫۴% بالای همهٔ آسیب‌پذیری‌های شناخته‌شده
نوع ضعف: CWE-20
جزئیات بیشتر: NVD · CVE.org · CISA

همهٔ منابع (2)

منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.